NIST 2025-ös éves jelentése
A NIST 2025-ös éves jelentése szerint az amerikai szabványügyi hivatal kiberbiztonsági fókusza egyre inkább az AI, az 5G/6G, az IoT és a kritikus infrastruktúrák rezilienciája felé tolódik. Az SP 800-238 dokumentum összefoglalja, hogy a NIST ma már nem pusztán technikai szabványalkotó szerepet tölt be, hanem stratégiai koordinációs központként működik az amerikai cyber- és technológiai ökoszisztémában. A jelentés külön kiemeli, hogy a generatív AI, a cloud-natív rendszerek és az OT/ICS infrastruktúrák konvergenciája alapvetően új támadási felületeket hozott létre.
A NIST jelentős erőforrásokat fordított az AI Risk Management Framework (AI RMF) továbbfejlesztésére, különösen az adversarial machine learning, a model poisoning, a prompt injection és a synthetic content manipulation területén. A jelentés szerint az AI-rendszerek ma már nemcsak adatvédelmi vagy etikai, hanem klasszikus kiberbiztonsági kockázatot is jelentenek, mivel a modellek elleni támadások kritikus infrastruktúrákat és autonóm rendszereket is érinthetnek.
A NIST külön hangsúlyt helyezett az 5G és Open RAN biztonságára is. A kutatások célja olyan referenciaarchitektúrák és zero trust modell kialakítása volt, amelyek csökkentik a virtualizált mobilhálózatok támadási felületét. A jelentés szerint a modern telekommunikációs infrastruktúrák ma már gyakorlatilag cloud-rendszerként működnek, ezért a hagyományos hálózatbiztonsági modellek önmagukban már nem elegendők.
Az IoT és OT környezetek védelme szintén kiemelt terület lett, több új projektet indított a NIST a gyártóhálózatok, egészségügyi rendszerek és kritikus infrastruktúrák ransomware-rezilienciájának növelésére. Ide tartozik az SP 1800-41 ransomware recovery framework is, amely már nemcsak incidensmegelőzésre, hanem operatív helyreállításra koncentrál gyártóipari környezetekben. A jelentés szerint a modern támadásoknál a legfontosabb kérdés már nem az, hogy történik-e kompromittálás, hanem az, hogy a szervezet milyen gyorsan képes minimális működőképességet visszaállítani.
A kvantumbiztonság szintén stratégiai prioritássá vált. A NIST folytatta a post-quantum cryptography (PQC) szabványosítását, különösen a CRYSTALS-Kyber és Dilithium algoritmusok környezetében. A jelentés hangsúlyozza, hogy a harvest now, decrypt later fenyegetés miatt a migrációt már most meg kell kezdeni, különösen hosszú életciklusú állami és kritikus infrastruktúrákban.
Stratégiai üzenet, hogy a kiberbiztonság ma már nem különálló IT-funkció, hanem a nemzeti reziliencia része. A NIST szerint a jövő cybervédelme az AI-alapú detekció, az identitásközpontú védelem, a zero trust architektúrák, a runtime monitoring és az automatizált recovery kombinációjára fog épülni.
